N-able veröffentlicht Hotfix für öffentlich bekannte N-central-Zero-Days
N-able hat am 11. November den Hotfix N-central 2026.4 HF2 für mehrere öffentlich bekannt gewordene Zero-Day-Schwachstellen seiner Remote-Monitoring-und-Management-Plattform veröffentlicht. Das Unternehmen teilte laut BleepingComputer mit, dass alle gehosteten N-central-Server in sämtlichen Regionen inzwischen aktualisiert sind, und empfahl Betreibern lokaler Installationen ein Upgrade so schnell wie möglich.
Die Lücken betreffen laut N-able unter anderem XML-External-Entity-Injection (XXE), OGNL-Injection, lokale Rechteausweitung, gespeichertes Cross-Site-Scripting, serverseitige Anfragefälschung (SSRF) und eine nicht authentifizierte Remote-Code-Ausführung. BleepingComputer nennt dafür die Kennungen CVE-2026-125878 bis CVE-2026-125883 sowie CVE-2026-91000.
Besonders weitreichend ist laut dem Sicherheitsforscher Sean Bales eine Angriffskette über die Service-Import-Funktion. Sie kann eine vertrauenswürdige lokale Sitzung stehlen, das Passwort eines Zielkontos zurücksetzen und Befehle als Benutzer nable ausführen. Bales demonstrierte außerdem, wie sich damit ein Administratorkonto mit vom Angreifer kontrollierten Zugangsdaten anlegen lässt.
N-able hatte die gehosteten N-central-Umgebungen in Amerika, Europa und der Region Asien-Pazifik am 9. November vorsorglich abgeschaltet. Das Unternehmen hatte Betreiber lokaler Server laut BleepingComputer ebenfalls angewiesen, ihre Systeme vorübergehend offline zu nehmen, bis eine Abhilfe verfügbar war.
Eine bestätigte Ausnutzung in freier Wildbahn meldete N-able bisher nicht. Der Threat-Intelligence-Anbieter Defused beobachtete jedoch bereits Sondierungen aus dem Internet. Dabei seien anonyme Agentensitzungen geöffnet, Appliance-Konfigurationen abgerufen und Endpunkte für Fernsteuerung ohne Authentifizierung angesprochen worden. Shadowserver registrierte zuletzt etwas mehr als 148 exponierte N-central-Server, nachdem am Montag noch 1.338 Systeme sichtbar gewesen seien.
Bales veröffentlichte die Schwachstellen am 8. November zusammen mit dem GitHub-Repository Able2Shell und Proof-of-Concept-Exploits. Nach seiner Einschätzung betrifft die Veröffentlichung mindestens N-central Appliance 2026.4.0.31, möglicherweise auch frühere Versionen. N-able empfiehlt On-Premises-Kunden, vor der Wiederherstellung des normalen Zugriffs die Upgrade-Anleitung sorgfältig zu befolgen und auf N-central 2026.4 HF2 zu aktualisieren.